El documento presenta el nuevo Esquema Nacional de Seguridad aprobado por Real Decreto 311/2022. El Esquema actualiza los principios, requisitos y medidas de seguridad para alinearlos con el marco legal y estratégico actual y facilitar la seguridad de la administración digital. Se revisaron de forma pormenorizada los requisitos mínimos, principios y 73 medidas de seguridad para hacer el Esquema más eficaz y eficiente. El Esquema tiene como objetivo mejorar la ciberseguridad del sector público mediante la actualización

1. EL NUEVO ESQUEMA NACIONAL
DE SEGURIDAD
Miguel A. Amutio Gómez
Director de Planificación y Coordinación de Ciberseguridad
Secretaría General de Administración Digital
Secretaría de Estado de Digitalización e Inteligencia Artificial
Ministerio de Asuntos Económicos y Transformación Digital

2. ENS – Dónde estamos
Fuente: Miguel A.Amutio
La seguridad, el largo camino…
Esfuerzo colectivo, multidisciplinar, y continuado en el tiempo

3. ENS – Enfoque global
CoCENS
Servicios CCN-CERT
Guías CCN-STIC (Serie 800)
Catálogo CPSTIC
Administración Digital
Órganos de Gobernanza
y cooperación en la
AGE de las AA.PP.
Liderazgo conjunto:
Contexto de
Gobernanza
Ciberseguridad
Nacional
Fuente: Miguel A. Amutio

4. ENS – Desarrollo
Conformidad Monitorización Informe INES
-
Soporte
Base legal Ámbito de aplicación
Sector Público
Información
clasificada
4 ITS publicadas
Real Decreto 3/2010
Actualizado en 2015
Real Decreto 311/2022
Anclado en leyes
40/2015 y 39/2015
 Informe estado de
a seguridad
 Conformidad con el ENS
 Auditoría
 Notificación de incidentes
Acreditación con ENAC
 Certificadores
acreditados por ENAC
 Entidades certificadas
(públicas/privadas)
 Consejo de
Certificación del ENS
(CoCENS)
 >90 guías CCN-STIC Serie 800
-
 23 Soluciones de
ciberseguridad
Referente
 8 ediciones del informe INES
 Ley Orgánica 3/2018
 Real Decreto 43/2021

+ Instrucciones
Técnicas de Seguridad

Proveedores
Esfuerzo colectivo, multidisciplinar,
sostenido en el tiempo + liderazgo conjunto de



5. ENS – Por qué la actualización
Fuente: Infografías ENS
Photo by Annie Spratt on Unsplash

6. Panorama de amenazas

7. ENS – Objetivos de la actualización
1. Mejorar y alinear el ENS con el nuevo marco
legal y estratégico para facilitar la seguridad de
la administración digital
2. Introducir la capacidad de ajustar los
requisitos del ENS para una aplicación más
eficaz y eficiente
3. Revisar de forma pormenorizada principios,
requisitos y medidas para facilitar la
adaptación a tendencias y necesidades en
ciberseguridad
Photo by Annie Spratt on Unsplash

8. RD 311/2022 – El nuevo ENS, en cifras
 A la escucha desde 2015, por todos los canales
 En preparación desde 2019
 445 Observaciones (audiencia e información pública)
 9 Informes
 34.900 Palabras (frente a 20.500 de v2015)
 90 Páginas
 7 Capítulos, 41 Artículos, 3 dd.aa.; 1 d.t.; 1 d.d.u.; 4
dd.ff., 4 Anexos
 7 Principios básicos
 15 Requisitos mínimos
 73 Medidas de seguridad
…

9. RD 311/2022 - Panorámica
1. Disposiciones generales, objeto, ámbito de aplicación, … (arts. 1 – 4)
2. Principios básicos, que sirven de guía. (arts. 5 – 11)
3. Requisitos mínimos, de obligado cumplimiento. (arts. 12 – 27)
4. Categorización de los sistemas para la adopción de medidas de seguridad
proporcionadas. (arts. 28, 40, 41, A-I y A-II)
5. Uso de productos certificados. Papel del Organismo de Certificación (OC-CCN)
(art. 19 y A-II)
6. Uso de infraestructuras y servicios comunes (art. 29)
7. Los perfiles de cumplimiento específicos (art. 30)
8. La auditoría de la seguridad que verifique el cumplimiento del ENS. (art. 31)
9. Informe del estado de la seguridad (art. 32)
10. Respuesta a incidentes de seguridad (arts. 33 y 34)
11. La conformidad con el ENS (art. 38)
12. La formación (D.a. 1ª)
13. Las instrucciones técnicas de seguridad (D.a. 2ª)
14. Las guías de seguridad (D.a. 2ª)
Fuente: Infografías ENS
Disposición transitoria única:
Adecuación de sistemas -> 24 meses

10. RD 311/2022 – Ámbito de aplicación claro (arts. 2, 3)
 Todo el sector público según artículo 2 de la Ley
40/2015.
 Sistemas que tratan información clasificada.
 Entidades del sector privado cuando presten servicios o
provean soluciones.
 Los pliegos de prescripciones contemplarán los
requisitos de conformidad con el ENS.
Referencia a la instalación, despliegue, explotación de
redes 5G o prestación de servicios 5G por entidades del
sector público.
 Sistemas de información que traten datos personales.
Photo by Marvin Meyer on Unsplash

11. RD 311/2022 – Perfiles de cumplimiento (art. 30)
Photo by Alex Perez on Unsplash
Photo bClaudio Schwarz | @purzlbaum on Unsplash
Comprenderán aquel conjunto de medidas de seguridad
que resultando del preceptivo análisis de riesgos, resulten
idóneas para una concreta categoría de seguridad.
Persiguen introducir la capacidad de ajustar los
requisitos del ENS a necesidades específicas de
determinados
Colectivos: Entidades Locales, Universidades, Organismos
Pagadores, …
Ámbitos tecnológicos: servicios en la nube, …
Ej:
 CCN-STIC-881A. Perfil de Cumplimiento Específico Universidades
 CCN-STIC-883 Guía de implantación del ENS para Entidades Locales
 …

12. RD 311/2022 – Respuesta a incidentes (art. 33)
Las entidades públicas notificarán al CCN-CERT los incidentes de
seguridad.
Las organizaciones del sector privado que presten servicios a las
entidades públicas notificarán al INCIBE-CERT quien lo pondrá
inmediatamente en conocimiento del CCN-CERT.
El CCN-CERT determinará técnicamente el riesgo de reconexión de
sistemas afectados, indicando procedimientos a seguir y salvaguardas
a implementar.
La SGAD autorizará la reconexión a medios y servicios comunes en
su ámbito de responsabilidad, si un informe de superficie de
exposición del CCN-CERT determina que el riesgo es asumible.
Papel de otros actores: Coordinación con el Ministerio del Interior a
través de la OCC (RD-l 12/2018); ESPDEF-CERT; IGAE.
Photo by Hack Capital on Unsplash

13. RD 311/2022 – Principios y requisitos
Photo by Alex Perez on Unsplash
Photo bClaudio Schwarz | @purzlbaum on Unsplash
Photo by Alex Perez on Unsplash
Photo by You X Ventures on Unsplash
Fuente: Infografías ENS
a) Seguridad como proceso integral.
b) Gestión de la seguridad basada en los riesgos.
c) Prevención, detección, respuesta y conservación.
d) Existencia de líneas de defensa.
e) Vigilancia continua.
f) Reevaluación periódica.
g) Diferenciación de responsabilidades.
a) Organización e implantación del proceso de seguridad.
b) Análisis y gestión de los riesgos.
c) Gestión de personal.
d) Profesionalidad.
e) Autorización y control de los accesos.
f) Protección de las instalaciones.
g) Adquisición de productos de seguridad y contratación de
servicios de seguridad.
h) Mínimo privilegio.
i) Integridad y actualización del sistema.
j) Protección de la información almacenada y en tránsito.
k) Prevención ante otros sistemas de información interconectados.
l) Registro de la actividad y detección de código dañino.
m) Incidentes de seguridad.
n) Continuidad de la actividad.
ñ) Mejora continua del proceso de seguridad.
Política de seguridad y requisitos mínimos de seguridad
Organización e implantación del proceso de seguridad

14. RD 311/2022 – Medidas de seguridad
Marco organizativo: medidas
relacionadas con la organización global de
la seguridad
Marco operacional: medidas para
proteger la operación del sistema como
conjunto integral de componentes para un
fin.
Medidas de protección: para proteger
activos concretos, según su naturaleza,
con el nivel requerido, en cada dimensión
de seguridad.
Marco
organizativo
4 Política de seguridad
Normativa de seguridad
Procedimientos de seguridad
Proceso de autorización
Marco operacional
33
Medidas de protección
36
Planificación (5)
Control de acceso (6)
Explotación (10)
Recursos externos (4)
Servicios en la nube (1)
Continuidad del servicio (4)
Monitorización del sistema (3)
Instalaciones e infraestructuras (7)
Gestión del personal (4)
Protección de los equipos (4)
Protección de las comunicaciones (4)
Protección de los soportes de información (5)
Protección de las aplicaciones informáticas (2)
Protección de la información (6)
Protección de los servicios (4)
Fuente: Infografías ENS

15. RD 311/2022 – Revisión de medidas
Photo by Alex Perez on Unsplash
Photo bClaudio Schwarz | @purzlbaum on Unsplash
Photo by Alex Perez on Unsplash
Photo by You X Ventures on Unsplash
Fuente: Infografías ENS

16. RD 311/2022 – Requisitos y refuerzos codificados
Photo by Alex Perez on Unsplash
Photo bClaudio Schwarz | @purzlbaum on Unsplash
Photo by Alex Perez on Unsplash
Photo by You X Ventures on Unsplash
Codificación para facilitar de manera proporcionada la seguridad
de los sistemas de información, su implantación y su auditoría.
Se han codificado los requisitos de las medidas:
• Requisitos base
• Posibles refuerzos de seguridad (R), alineados con el nivel
de seguridad perseguido, que se suman (+) a los requisitos
base de la medida, pero que no siempre son incrementales
entre sí; de forma que, en ciertos casos, se puede elegir
entre aplicar un refuerzo u otro. Algunos refuerzos son de
carácter opcional.

17. RD 311/2022 –
Medidas de
Seguridad Anexo II
Ej. Protección de
servicios en la nube

18. Con el liderazgo de la Secretaría General de Administración Digital y el
Centro Criptológico Nacional, junto con sus equipos de colaboradores, el
ENS es el resultado de un esfuerzo colectivo del sector público
de España, con la colaboración del sector privado, que vienen
contribuyendo activamente a su elaboración, desarrollo, aplicación y
evolución.
Photo by Annie Spratt on Unsplash

19. Qué esperamos por vuestra parte
Photo by Paul Rysz on Unsplash
1. Que seáis partícipes y agentes de la
ciberseguridad, para llevarla a la realidad
práctica.
2. Si trabajáis para el sector público,
directa o indirectamente como prestadores
de servicios o proveedores de
soluciones (cadena de suministro), vuestra
colaboración para la plena aplicación
del ENS.

20. MUCHAS GRACIAS
POR SU ATENCIÓN